Claude, NIST’in açıklanmayan ECDSA eğri tohumlarının kaynağını buldu

Anthropic’in Frontier Red Team ekibi, 16 Ekim 2026’da yayımladığı araştırma yazısında, şirketin iç araştırma modeli Claude’un NIST’in ECDSA eğrilerinde kullandığı tohum değerlerinin kaynağını bulduğunu duyurdu. Tohumlar, 1990’lı yıllarda C kütüphanelerinde yaygın olan lrand48 adlı sözde rastgele sayı üreteciyle ve Unix zaman damgasıyla oluşturulmuş. Bu soru, NSA’nın değerleri hiçbir açıklama yapmadan yayımlamasından bu yana açık kalmıştı.

NSA’nın açıklamadığı tohumlar

ECDSA, eliptik eğri kriptografisinde en yaygın kullanılan standart. NIST, 2000 yılında FIPS 186-2 Dijital İmza Standardı ile birlikte farklı güvenlik seviyelerinde standart eğriler yayımladı. Şartnamede, eğrinin b katsayısını belirleyen bir seed yani tohum parametresi de vardı. Bu değerleri NSA sağladı ve nereden geldiğini açıklamadı; P-256 için yayımlanan C49D3608 86E70493 6A6678E1 139D26B7 819F7E90 dizisi yıllarca tartışma konusu oldu.

Neal Koblitz ve Alfred Menezes bu belirsizliği “A Riddle Wrapped in an Enigma” başlıklı makalede ele aldı. Yaygın kanı, NSA çalışanı Jerry Solinas’ın tohumları esprili bir cümleden türettiği yönündeydi. Solinas 2015’te “Bob ve Jerry’ye zam verin” benzeri bir ifade hatırladığını söylemiş, kodun Bob Reiter tarafından yazıldığını ancak döneme ait arşiv bulunmadığını belirtmişti. Solinas 2023’te hayatını kaybetti ve soru açık kaldı.

Claude sorunu yarım saatten kısa sürede çözdü

Anthropic çalışanları, ipucu niteliğindeki bu ifadeyi izleyerek tohumları bulmayı denemiş ama başarılı olamamıştı. Ekim 2026’da bir çalışan, iç araştırma modeline herhangi bir ipucu vermeden tohumların nasıl üretildiğini sordu. Claude, yarım saatten kısa sürede P-192, P-224, P-256, P-384 ve P-521 eğrilerinin tohumlarının lrand48 çıktısı olduğunu, üstelik herhangi bir hash fonksiyonu kullanılmadığını tespit etti.

Model, ifade tabanlı aramalar tükendiği için probleme tersinden yaklaştı: 1990’ların C kütüphanelerinde bulunan, çıktısı zayıf bir sözde rastgele üreteç aradı. Yayımlanan tohumları parça parça tarayarak 34 üreteç ve çıktı dilimi kombinasyonunu denedi. Beş 32 bitlik kelime olarak yazıldığında, on tohumun dördünde 20 kelimenin tamamının en üst bitinin sıfır olması dikkat çekti; bu tesadüfen gerçekleşme olasılığı 1/5810’du. Bu desen, 48 bitlik durumun yalnızca üst 31 bitini döndüren lrand48’e işaret ediyordu.

Claude, ilk kelimenin 17 gizli biti için 2^17 olası değeri deneyerek üretecin durumunu geri kazandı. Asal eğri tohumları için kısaltılmış bir doğrusal eşlemeli üretecin iç durumunu yeniden kurmak klasik bir kafes problemi; model bunu Lenstra-Lenstra-Lovasz (LLL) taban indirgemesiyle çözdü. Beş NIST tohumu ve ANSI X9.62 standardındaki beş tohum daha aynı desene uydu. P-256’nın tohumu, üretecin 1842. adayıydı.

Zaman damgaları 1997 ve 1998’i gösteriyor

Üreteç geriye doğru da çalıştığı için Claude her tohumun durumunu başlangıç noktasına kadar geri aldı. On asal eğri tohumunun tamamı Mayıs 1997 ile Nisan 1998 arasına düşen Unix zaman damgalarına dayanıyordu. İkili eğrilerin başlangıç değerleri ise Şubat 1984 okundu; ekip, ikiye katlandığında bunun 17 Nisan 1998’e denk geldiğini ve programın saati yarıya bölmüş olabileceğini belirtti.

Model ayrıca bazı eğrilerin başlangıç noktalarının da kaynağını buldu. Mayıs 1997’de üretilen altı eğrinin başlangıç noktaları, Arjen Lenstra’nın FreeLIP kütüphanesindeki üreteçle eşleşiyor; kullanılan başlangıç değerleri 20000, 20420, 20507, 20509, 20512 ve 20517. Anthropic’e göre daha önce hiçbir NIST başlangıç noktası açıklanmamıştı.

Güvenlik açısından ne değişiyor

Anthropic, bulguların bir kriptografik kırılma, yeni bir saldırı ya da ECDSA eğrilerinde bir zayıflık anlamına gelmediğini vurguluyor. Tohumların saatten başlatılan yaygın bir üreteçle üretilmesi, herkesin süreci yeniden çalıştırabilmesi demek; ekip bunu gizli müdahale ihtimalini azaltan bir bulgu olarak yorumluyor. Yazıya göre araştırmacıların çoğu eğrilere zaten güveniyordu ve yapılacak bir işlem yok.

Yine de bazı sorular cevapsız. Her 20 baytlık aday geçerli bir eğri üretmediği için bazı adaylar atlanmış; P-224’ün koşusunda üç, ANSI örnek eğrilerinin ardındaki iki koşuda yedi uygun aday es geçilmiş. Ekip atlanan aday sayısı az olduğu için zayıflatılmış eğri seçilmesini olası görmüyor. Beşinci ikili tohum olan B-163 ise hiçbir denemeye uymadı ve çözülemedi. P-224, P-256, P-384 ve P-521’in başlangıç noktaları hâlâ bilinmiyor.

Tohumları bulanlara vaat edilen 36.864 dolarlık ödül, Internet Security Research Group’a bağışlanacak. Çalışma John Wood, Henry de Valence, Ava Howell, Zack Voase, Lucy Sweet, Amir Omidi, Paul Crowley, Iain McGinniss, Nicholas Carlini ve Steve Weis’e atfediliyor; yayımlanan kod CC0 1.0 ile kamuya açıldı.

Kaynak: Unite.AI